Bí a ṣe lè fi àwọn àkọsílẹ̀ ẹ̀rọ ránṣẹ́ sí olùgbà jíjìn láìséwu

Ẹ̀rọ lè tú àwọn àkọsílẹ̀ jáde, olùgbà wà ní ẹ̀gbẹ́ kejì íńtánẹ́ẹ̀tì, ìbéèrè àkọ́kọ́ tí gbogbo ènìyàn ń béèrè ni ọ̀nà abẹ́lẹ̀ wo ni a ó kọ́. Ìlànà yẹn bẹ̀rẹ̀ ní ibi tí kò tọ́. Ohun tí ó ń pinnu gbígbé ni ọ̀nà tí ẹ̀rọ lè ṣe jáde, ìjẹ́rìí tí olùgbà yóò gbà, àti ohun tí “a ti fi ránṣẹ́” gbọdọ̀ túmọ̀ sí nígbà tí ìsopọ̀ bá já. Kọ àwọn ìdáhùn mẹ́ta yẹn sílẹ̀, gbígbé sì sábà yan ara rẹ̀.

Bẹ̀rẹ̀ pẹ̀lú ohun tí ẹ̀rọ lè tú jáde

Ní ìṣe, àwọn ọ̀nà mẹ́ta péré ló wà. Àwọn ìṣẹ̀lẹ̀ syslog kọ̀ọ̀kan lórí UDP tàbí TCP, ìgbéwọlé HTTPS tí a jẹ́rìí tí a kọ́ sínú ọjà, tàbí àwọn fáìlì pípé tí a kọ sí dískáìtì tí a gbọdọ́ gbé. Ògiri iná tí ó lè fi syslog UDP nìkan ránṣẹ́ kò ní di olùránṣẹ́ TLS nítorí pé o fi ọ̀nà abẹ́lẹ̀ kún; yóò ṣì máa fi àwọn dátágírámù tí a kò jẹ́rìí ránṣẹ́, ní báyìí nínú àpò tí a ti fi àṣírí bo.

Nítorí náà kọ́kọ́ ṣe àkójọ olùránṣẹ́: ìlànà, àtìlẹ́yìn TLS àti èwo ni ilé-ìkàwé TLS, bóyá ó lè jẹ́rìí ìwé-ẹ̀rí olùgbà, bóyá ó lè fi ìwé-ẹ̀rí oníbàárà hàn, àti bóyá búfà ìránṣẹ́ yóò ye ìtúnbẹ̀rẹ̀. Ohunkóhun tí ẹ̀rọ kò lè ṣe ni ohun mìíràn lórí ọ̀nà gbọdọ̀ ṣe, ohun mìíràn yẹn sì di apá kan ìṣètò rẹ.

TLS syslog: ọ̀nà tí ó kúrù jù nígbà tí ẹ̀gbẹ́ méjèèjì bá ń sọ ọ́

Bí ẹ̀rọ bá ń ṣe àtìlẹ́yìn syslog lórí TLS tí olùgbà sì ń parí rẹ̀, lo ìyẹn kí o sì dúró. Ìlànà ohun-èlò ń dáàbò bo ara rẹ̀, olùgbà ń jẹ́rìí olùránṣẹ́, kò sì sí ìgbésẹ̀ àfikún tí ìwà rere rẹ̀ wà lọ́wọ́ rẹ ní báyìí. Ìdẹkùn ni pé “TLS syslog” bo onírúurú ìmúṣẹ, àti àwọn ìtọ́sọ́nà ìsinsìnyí fún syslog àìléwu ti kọjá àwọn àkójọ kóòdù ní àwọn ẹ̀kọ́ àtijọ́, ìdí nìyẹn tí olùtẹ̀síwájú tí ń ṣiṣẹ́ fi ń bàjẹ́ lẹ́yìn ìgbéga ilé-ìkàwé.

Nínú rsyslog, orúkọ mọ́dùùlì gbígbé nìkan sọ ìgbà tí o wà: lmnsd_gtls ń fi GnuTLS kún, nígbà tí lmnsd_ossl ń fi OpenSSL kún, àwọn àpò 8.x ìsinsìnyí sì ń fi ìyẹn ránṣẹ́. Ìgbésẹ̀ ìtẹ̀síwájú pẹ̀lú ìjẹ́rìí ìwé-ẹ̀rí ń yẹ bí èyí, ó sì yẹ kí a fi àwọn orúkọ ètò pàtó wé ẹ̀yà tí a fi sórí ẹ̀rọ:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Ẹ̀rí ipò ìparí kí o tó ṣàyẹ̀wò olùránṣẹ́. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error yálà ń parí ìfọwọ́sowọ́pọ̀ pẹ̀lú ẹ̀wọ̀n tí ó tọ́ tàbí ó sọ fún ọ ní pàtó irú àyẹ̀wò tí ó kùnà. Dán wò láti inú ẹ̀rọ, kì í ṣe láti kọ̀mpútà rẹ, nítorí ibi ìfọ̀kànbalẹ̀ ẹ̀rọ ni ohun tí ó ṣe pàtàkì.

SFTP: dára fún àwọn fáìlì, kò tọ́ fún àwọn ìṣàn

Ìfijiṣẹ́ orí fáìlì bá àwọn ẹ̀rọ tí ń kọ àwọn àkọsílẹ̀ yíyí àti kò sóhun mìíràn. Gbígbé orí SSH ń fún ọ ní àwọn kọ́kọ́rọ́ agbàlejò, àwọn kọ́kọ́rọ́ fún àkọọ́lẹ̀ kọ̀ọ̀kan àti ètò fáìlì tí o lè ṣàyẹ̀wò, èyí tí ó jẹ́ ìtàn ìgbẹ́kẹ̀lé tí ó bọ́gbọ́n mu fún ẹ̀rọ tí kò lè ṣe TLS rárá. Yíyan búburú ni fún àwọn ìṣàn ìṣẹ̀lẹ̀, níbi tí “a ń kọ fáìlì lẹ́ẹ̀kan lójú wákàtí” túmọ̀ sí pé ìdádúró ń gbà ọ lọ́wọ́ ìrù wákàtí yìí.

Jẹ́ kí ìjẹ́rìí agbàlejò wà ní ṣíṣí, nítorí ìpè àkójọ tí ó pa á nígbà láti yẹra fún ìtọ́ni ń pa ìjẹ́rìí kan ṣoṣo tí gbígbé ní.

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Fi kọ́kọ́rọ́ agbàlejò mọ́ known_hosts àkọọ́lẹ̀ nígbà ìpèsè, fi àkọọ́lẹ̀ mọ́ kàtáàgù àfojúsùn, kí o sì yàn ẹ̀ka internal-sftp pẹ̀lú chroot. Ṣètò ìtàn ìtúnránṣẹ́ pẹ̀lú: bí a bá tún fáìlì ránṣẹ́ lẹ́yìn àkùnà àpákan, olùgbà gbọdọ̀ mọ ìyàtọ̀ láàárín ẹ̀dà àti fáìlì tuntun, sábà nípasẹ̀ orúkọ pẹ̀lú àkójọ ìṣàyẹ̀wò kì í ṣe àkókò ìdé.

Nígbà tí ẹnubodè àdúgbò tàbí ọ̀nà abẹ́lẹ̀ bá jẹ́ ìdáhùn olóòtítọ́

Àwọn ẹ̀rọ kan lè sọ ọ̀nà kan ṣoṣo tí ẹnikẹ́ni kò fẹ́ fi hàn. Ní irú ààyè bẹ́ẹ̀, olùgbà tí a fún ní àṣẹ lórí nẹ́tíwọ́kì ẹ̀rọ fúnra rẹ̀ gba ọ̀nà ìbílẹ̀ náà, ó sì ń gbé e lọ síwájú lórí TLS. Ìṣètò tí ó bófin mu niyẹn, ṣùgbọ́n jẹ́ pàtó nípa ohun tí ó ń ra: ìfọ̀kùn tí ó bẹ̀rẹ̀ ní ẹnubodè kò dáàbò bo apá tí ó wà láàárín ẹ̀rọ àti ẹnubodè lẹ́yìn-ọ̀-rẹyìn, nítorí náà ìgbésẹ̀ yẹn ṣì nílò ààlà ìgbẹ́kẹ̀lé àti ìṣàkóso àyè wọlé tirẹ̀.

Ọ̀nà abẹ́lẹ̀ ojú-ìwé tàbí ẹ̀rọ tí a tọ́ ni àyàn tí ó wúwo jù àti èyí tí ó tọ́ nígbà tí olùgbà gbọdọ̀ pa àdírẹ́sì àdáni mọ́ àti láti gbé àwọn iṣẹ́ púpọ̀, kì í ṣe àwọn àkọsílẹ̀ nìkan. Ó ń mú ìṣètò àdírẹ́sì, àwọn òfin àyè wọlé, àwọn ọ̀nà ìpadà àti ìgbà ayé ipò ìparí ọ̀nà abẹ́lẹ̀ wá. Kò tún mú ìlànà inú dára: syslog lórí UDP nínú ọ̀nà abẹ́lẹ̀ IPsec ṣì jẹ́ iṣẹ́ dátágírámù láìsí ìjẹ́rìí ìfijiṣẹ́.

Ohunkóhun tí o bá yàn, pa àṣẹ olùgbà mọ́ tóóró ju gbígbé lọ. Ìdánimọ̀ ọ̀nà abẹ́lẹ̀ jẹ́ ti ipò ìparí, kò sì sọ nkankan nípa ẹ̀rọ ìsàlẹ̀ wo ni ó ṣe pápá orúkọ agbàlejò pàtó nínú ìfiránṣẹ́.

Kọ àdéhùn ìfijiṣẹ́ kí o tó ránṣẹ́

Ìfọ̀kùn, ìjẹ́rìí àti ìtọ́jú ń dáhùn àwọn ìbéèrè ọ̀tọ̀ọ̀tọ̀, ìlà ìdúró kì í sì ṣe ìlànà ìtọ́jú. Kí àkọsílẹ̀ àkọ́kọ́ tó kúrò ní ẹ̀rọ, pinnu ohun tí ìjẹ́rìí túmọ̀ sí ní ti gidi lórí olùgbà yìí: a gbà á lórí okùn, a gbà á fún ìṣiṣẹ́, tàbí a kọ ọ́ sí ibi ìpamọ́ tí ó dúró pẹ́. Ìwọ̀nyí jẹ́ ìdánilójú mẹ́ta ọ̀tọ̀ọ̀tọ̀, ìkẹyìn nìkan ni yóò ye ìtúnbẹ̀rẹ̀ olùgbà.

Lẹ́yìn náà dáhùn àwọn ìbéèrè ìṣiṣẹ́ ní ìkọ̀wé. Níbo ni àwọn ìṣẹ̀lẹ̀ tí a kò ránṣẹ́ ń dúró, ṣé búfà yẹn yóò ye ìdádúró iná? Kí ni ó ṣẹlẹ̀ nígbà tí ó kún, ta sì ni a ń sọ fún? Báwo ni a ṣe ń dín àwọn ìgbìyànjú kù, báwo sì ni a ṣe ń dán àwọn ẹ̀dà mọ̀? Pápá wo ni ó ń fi ìdánimọ̀ olùránṣẹ́ hàn, níwọ̀n bí ìgbésẹ̀ ìtẹ̀síwájú lè tún orúkọ agbàlejò kọ?

Pa ìṣètò mọ́ kí ó kéré tó láti ṣàlàyé nínú ìpínrọ̀ kan: gbígbé tí ó kéré jù tí a ń ṣe àtìlẹ́yìn tí ó ń gbé àwọn ìṣẹ̀lẹ̀ tí a nílò, pẹ̀lú ìkéde pàtó nípa àwọn ìdánilójú tí kò fúnni. Bí ìdáhùn bá nílò ìgbésẹ̀ méjì, sọ bẹ́ẹ̀ nínú runbook kí o sì fún ìgbésẹ̀ kọ̀ọ̀kan ní olùdámọ̀ràn.